主页
延伸產品功能
瞭解如何延伸產品以符合特定的開發需求。
HCL®AppScan® Source for Development (Eclipse Plug-in)
利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM® MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security Knowledgebase 的補救協助，將它們徹底消除。
掃描工作區、專案和檔案
您可以掃描 Eclipse 工作區、專案或檔案。這包括掃描 Java™（包括 Android）、JavaServer Pages (JSP) 及 IBM® MobileFirst Platform 專案。
掃描 MobileFirst Platform 專案
MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。

歡迎使用
歡迎使用 HCL® AppScan® Source 的說明文件。
新增功能
探索這些已新增至 AppScan® Source 的新特性，並指出在這個版本中已淘汰的任何特性與功能。
正在安裝
瞭解如何安裝、升級及啟動 HCL® AppScan® Source 。
配置
瞭解如何在 HCL® AppScan® Source 中配置應用程式、資料夾和專案，以及設定屬性和內容。
管理
瞭解如何在 HCL® AppScan® Source 中管理使用者帳戶和許可權、審核使用者活動，以及管理整合。
正在掃描
本節說明如何掃描原始碼及管理 HCL® AppScan® Source 中的評量。
分類及分析
將類似的發現項目分組，可讓安全分析師或 IT 審核員進行原始碼問題的分段及分類。本節說明如何分類 AppScan® Source 評量以及分析結果。
產生報告
安全分析師和風險管理員可以存取所選取發現項目的報告，或一系列審核報告，這些審核報告用來測量是否符合軟體安全最佳實務和規章需求。本節說明如何建立發現項目集成資料的報告。
延伸產品功能
瞭解如何延伸產品以符合特定的開發需求。
- 自訂漏洞資料庫和型樣規則
  本節說明如何自訂資料庫，以及將自訂的漏洞及其他常式整合到掃描中。
- 延伸應用程式伺服器匯入架構
  AppScan® Source 可讓您從 Apache Tomcat 及 WebSphere® Application Server Liberty 設定檔匯入 Java™ 應用程式。您可以如本主題所述，延伸應用程式伺服器匯入架構，以便從其他應用程式伺服器匯入 Java 應用程式。
- HCL®AppScan® Source for Development (Eclipse Plug-in)
  利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM® MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security Knowledgebase 的補救協助，將它們徹底消除。
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development 也作為 MobileFirst Platform Application Scanning 提供。利用 MobileFirst Platform Application Scanning，您可以在現有的開發環境中作業，且可以對 IBM® MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security Knowledgebase 的補救協助，將它們徹底消除。
  - 名詞解釋
  - AppScan® Source for Development server mode和local mode
    在具有或沒有 AppScan® Enterprise Server 的情況下都可使用 AppScan Source for Development 外掛程式。在server mode中，您連接至伺服器來執行掃描和存取共用的資料，就像在舊版產品中一樣。在新的local mode中，AppScan Source for Development 在完全不連接 AppScan Enterprise Server 的情況下執行 - 您將無法存取共用項目，例如過濾器、掃描配置及自訂規則。
  - 建立變數
    如果要開啟先前在 AppScan® Source for Analysis 中基於路徑變數所建立的評量或組合，您應該在開發環境中建立相符的變數。建立變數可確保資料可供多部電腦使用。如果要共用評量資料，您必須定義適當的變數。
  - 配置掃描
    視您要掃描的專案類型以及您要處理的掃描類型而定，您可能必須在執行掃描之前先配置它。例如，您可以將專案配置為使用依預設所設定的 JDK 或 JSP 編譯器以外的編譯器。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 掃描工作區、專案和檔案
    您可以掃描 Eclipse 工作區、專案或檔案。這包括掃描 Java™（包括 Android）、JavaServer Pages (JSP) 及 IBM® MobileFirst Platform 專案。
    - 掃描考量
      本主題說明可能影響您掃描的限制和考量。
    - 掃描 MobileFirst Platform 專案
      MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。
    - 掃描配置
      啟動掃描時會使用掃描配置，這通常可產生較佳的掃描結果。AppScan® Source 包含可在 server mode 或 local mode中存取的內建掃描配置。此外，還可在 AppScan Source for Analysis 中建立自訂掃描配置並分享到 AppScan Enterprise Server - 在server mode下，可從 AppScan Source for Development 存取。
    - 取消或停止掃描
      雖然您可以取消進行中的掃描，但取消掃描會使這項掃描的資料全部消失。或者，您也可以停止掃描來中止它，並以到目前為止所發現的結果來產生評量。
  - 開啟及儲存評量
    AppScan® Source 會掃描原始碼的漏洞，並列出發現項目。發現項目是掃描期間所識別的漏洞，掃描結果是評量。您可以從 AppScan Source for Development 或 AppScan Source for Analysis 開啟儲存的評量。掃描之後，您可以將評量儲存在檔案中。之後，您隨時可以重新開啟評量。評量儲存為 filename.ozasmt。
  - 自訂發現項目表格
    除了 AppScan® Source for Analysis 中的「評量差異」視圖之外，在所有含有發現項目的視圖中，您可以只將您想要看到的直欄及直欄次序識別出來，以自訂發現項目表格。每個視圖可以各有不同設定，您也可以將選項套用於所有視圖。如果要自訂直欄次序，請遵循這個作業主題中的步驟。
  - 將所選的發現項目儲存在評量中
  - 搜尋發現項目
    在包含發現項目的多重視圖中，您可以搜尋特定的發現項目。搜尋準則包含組合、程式碼、檔案、專案或漏洞類型。搜尋結果會出現在「搜尋結果」視圖中。
  - 修改發現項目
    已修改的發現項目是漏洞類型、分類、嚴重性有了改變，或擁有註釋的發現項目。「已修改的發現項目」視圖會顯示現行應用程式（因開啟其評量而在作用中的應用程式）的這些發現項目。在「我的評量」視圖（只限 AppScan® Source for Analysis）中，已修改直欄會指出發現項目是否在現行評量中有了改變。
  - 解決安全問題和檢視補救協助
    AppScan® Source 會發出安全錯誤或一般設計缺失的警示，且能夠在解決過程中提供協助。AppScan Source Security Knowledgebase（以及內部或外部的程式碼編輯器）可以在這個過程中提供協助。
  - 分類及排除項目
    掃描之後，您可能決定某些發現項目與目前的工作無關，在分類掃描結果時，不要它們出現在發現項目表格中。這些排除項目（或已排除的發現項目）不會再出現在「發現項目」視圖中，變更結果會立即更新評量的度量。新增到配置中的過濾器和組合排除項目，只會影響到後續的掃描。
  - 建立及管理過濾器
    AppScan® Source 提供多種建立及使用過濾器的方法。「過濾器編輯器」視圖是建立過濾器的主視圖，它提供一組很健全的規則，您可以手動設定它們，然後將它們儲存在過濾器中。另外，「過濾器編輯器」視圖也提供了已建立過濾器的管理機制，您很容易修改或移除這些過濾器。另外，您也可以利用提供發現項目之圖形表示法的視圖，來過濾發現項目表格，然後在「過濾器編輯器」視圖中儲存這些過濾器。當您建立過濾器時，會更新其他視圖來反映過濾器內容。
  - 支援的註釋和屬性
    掃描期間會處理一些用來裝飾程式碼的註釋或屬性。於掃描期間，當程式碼中發現支援的註釋或屬性時，會利用這項資訊，將裝飾的方法標示為污染的回呼。針對標示為污染回呼的方法，會將其所有引數都視為包含受污染的資料。這會產生更多含有追蹤資料的發現項目。這個說明主題中會列出所支援的註釋和屬性。
  - 使用組合
    組合（發現項目的分組機制）可讓您從 AppScan® Source for Analysis 中，將發現項目的 Snapshot 匯入 AppScan Source for Development 中。將發現項目放入組合之後，您可以利用 AppScan Source for Development 來開啟含有組合的專案、匯入組合，或開啟已儲存的組合檔 (file_name.ozbdl)。
  - AppScan® Source 追蹤
    當使用 AppScan® Source 追蹤時，您可以驗證輸入驗證和編碼是否符合您的軟體安全原則。您可以查看產生輸入/輸出追蹤資料的發現項目，將方法標示為驗證常式和編碼常式、來源或接收槽、回呼，或污染傳播者。
  - 視圖和視窗
    AppScan® Source for Development 的視圖和視窗提供發現項目的替代呈現方式，它們支援編輯程式碼，可讓您在工作台中導覽資訊。視圖可以單獨出現，也可以在標籤記事本中，與其他視圖堆疊起來。您可以開啟和關閉視圖，以及將它們定置在「工作台」視窗的不同位置，以變更視景或視窗的佈置。
  - 安裝和使用者資料檔位置
    當您安裝 AppScan® Source 時，使用者資料和配置檔會儲存在安裝目錄之外。
  - CWE 支援
    「一般弱點列舉 (Common Weakness Enumeration, CWE)」是一份業界標準清單，可提供常見的軟體弱點的一般名稱。本主題列出 AppScan® Source 的現行版本中支援的 CWE ID。
  - 智慧型發現項目分析 (IFA)
    瞭解從 AppScan® Source 自動分類和分析發現項目。
參照
檢閱 HCL® AppScan® Source 參照資訊，包括使用公用程式、外掛程式及 API。
疑難排解和支援
自助資訊、資源和工具，可讓您在使用 HCL® AppScan® Source 時針對問題進行疑難排解。

掃描 MobileFirst Platform 專案

MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。

如果您所掃描的 MobileFirst Platform 專案含有已修改的檔案，則在掃描之前，您必須使用 MobileFirst Platform 來重建專案。如果您未使用 MobileFirst Platform 來重建專案，則 AppScan® Source 會忽略檔案的修改部分。

您可以遵循掃描工作區、專案和檔案中的指示，對 MobileFirst Platform 專案啟動掃描，或者，您也可以在專案層次、應用程式層次、環境（android）層次、應用程式環境下的一般資料夾或 HTML 檔層次上，按一下滑鼠右鍵，然後從功能表中選取執行掃描。

如果掃描包含 android 環境，您必須先使用 MobileFirst Platform 來建置專案。
若要能夠掃描 MobileFirst Platform 專案中的 Android 程式碼，您必須使用 Android 應用程式開發所用的 Android Developer Tools (ADT) Eclipse 外掛程式。

註：在掃描 MobileFirst Platform 6.1 版專案時，可能會延遲很久才開始掃描。如需相關資訊，請聯絡 HCL 支援中心，以瞭解使用 AppScan Source for Development Eclipse 外掛程式來掃描 Worklight 6.1 應用程式時的延遲。